Spring Boot中Feign Client传递Basic认证头及微服务间JWT令牌传递问题

针对你在Spring Boot微服务架构中遇到的Feign调用时JWT令牌跨服务传递和Basic认证头传递问题，我给你整理了一套实用的解决方案，结合你的技术栈（Eureka、JWT、全局方法安全）来适配：

一、JWT令牌的跨服务自动传递 #

因为每个微服务都配置了JWT验证，当审批服务（Approver Service）通过Feign调用主请求服务（Main Request Service）的权限受限方法时，核心是把当前请求的JWT令牌自动携带到Feign请求中。这里用Feign的请求拦截器就能轻松实现：

1. 编写JWT Feign请求拦截器
   创建一个实现RequestInterceptor的组件，从Spring Security上下文里获取当前用户的JWT令牌，然后添加到Feign请求的Header中：

   import feign.RequestInterceptor;
   import feign.RequestTemplate;
   import org.springframework.security.core.context.SecurityContextHolder;
   import org.springframework.security.oauth2.server.resource.authentication.JwtAuthenticationToken;
   import org.springframework.stereotype.Component;
   
   @Component
   public class JwtFeignInterceptor implements RequestInterceptor {
       private static final String AUTHORIZATION_HEADER = "Authorization";
       private static final String BEARER_PREFIX = "Bearer ";
   
       @Override
       public void apply(RequestTemplate template) {
           // 从Security上下文提取当前JWT认证信息
           var authentication = SecurityContextHolder.getContext().getAuthentication();
           if (authentication instanceof JwtAuthenticationToken jwtToken) {
               String tokenValue = jwtToken.getToken().getTokenValue();
               // 将令牌添加到Feign请求头
               template.header(AUTHORIZATION_HEADER, BEARER_PREFIX + tokenValue);
           }
       }
   }
   

   注意：如果你的JWT认证用的是Spring Security OAuth2资源服务器，确保依赖中包含spring-security-oauth2-resource-server，这样JwtAuthenticationToken才能正常使用。

2. 绑定拦截器到Feign Client
   确保你的Feign Client能识别这个拦截器：要么把拦截器放在Spring组件扫描的包下自动生效，要么在@FeignClient注解中手动指定配置类：

   @FeignClient(name = "main-request-service", configuration = JwtFeignInterceptor.class)
   public interface MainRequestFeignClient {
       // 调用主请求服务中权限受限的接口
       @GetMapping("/api/main-request/restricted-resource")
       ResponseEntity<String> getRestrictedResource();
   }
   

二、Basic认证头的传递（按需配置） #

如果你的场景中还需要传递Basic认证头（比如部分服务需要双重认证，或者Feign调用本身需要Basic身份验证），可以通过两种方式处理：

方式1：在JWT拦截器中追加Basic认证 #

如果是固定的Basic账号密码，可以直接在同一个拦截器中添加：

// 在JwtFeignInterceptor的apply方法中添加以下代码
import java.util.Base64;

String basicCredentials = "your-username:your-password";
String basicAuthHeader = "Basic " + Base64.getEncoder().encodeToString(basicCredentials.getBytes());
// 注意：如果服务端支持多个Authorization头，可以直接追加；否则需要和JWT协商用不同Header
template.header(AUTHORIZATION_HEADER, basicAuthHeader);

方式2：单独配置Basic认证拦截器 #

如果不同Feign Client需要不同的Basic认证信息，可以单独创建配置类：

import feign.auth.BasicAuthRequestInterceptor;
import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;

@Configuration
public class FeignBasicAuthConfig {
    @Bean
    public BasicAuthRequestInterceptor basicAuthRequestInterceptor() {
        return new BasicAuthRequestInterceptor("specific-username", "specific-password");
    }
}

然后在对应的Feign Client中指定这个配置：

@FeignClient(name = "main-request-service", configuration = {JwtFeignInterceptor.class, FeignBasicAuthConfig.class})
public interface MainRequestFeignClient {
    // ...
}

三、验证与注意事项 #

• 全局方法安全兼容性：因为你已经实现了控制器的全局方法安全（比如@EnableGlobalMethodSecurity），当Feign请求携带JWT令牌到达主请求服务时，Spring Security会自动验证令牌的有效性和权限，确保调用者具备访问受限方法的权限。
• 异步场景的上下文传递：如果你的微服务调用是异步的，需要设置Security上下文的继承策略：SecurityContextHolder.setStrategyName(SecurityContextHolder.MODE_INHERITABLETHREADLOCAL)，否则异步线程无法获取父线程的JWT令牌。
• 令牌过期处理：可以在Feign的错误解码器中捕获401错误，触发令牌刷新逻辑（如果你的系统有刷新令牌机制），避免调用失败。
• Eureka服务名匹配：确保Feign Client的name属性和Eureka中注册的主请求服务名称完全一致，否则Feign无法通过服务发现找到目标实例。

内容的提问来源于stack exchange，提问作者Shubham Kale